Флеш-займ (flash loan) в DeFi: комиссия 0,05% и $80 вместо $2 000 штрафа

Коротко (TL;DR)

Флеш-займ (flash loan) — это заём без залога, который выдаётся и возвращается внутри одной транзакции блокчейна. Проверки платёжеспособности нет, обеспечения нет, срока нет: если деньги не вернулись к концу транзакции, сеть отменяет её целиком, и займа как будто не было. Вокруг этой механики в русско- и украиноязычных материалах живут два мифа — «флеш-займ это дыра в DeFi» и «на нём можно заработать без стартового капитала». Ниже видно, почему неверны оба.

• Комиссия Aave V3 — 0,05%, а не 0,09%. Ставка 0,09%, которая кочует по статьям, относится к Aave V2 образца 2021 года. Правильную цифру мы сверили тремя способами: документация, код деплоя и прямой вызов на живом контракте 28 августа 2026 года.
• Два источника из четырёх вообще бесплатны. У Morpho Blue премии нет в самом коде функции, у Balancer вызов getFlashLoanFeePercentage() возвращает ноль. Стоимость капитала для операции равна нулю — платить приходится только за свопы и газ.
• Вкладчику пула флеш-займы не приносят ничего. В Aave V3 на 28 августа 2026 года вся премия уходит в казну DAO. Расхожий тезис «флеш-займы кормят поставщиков ликвидности» сегодня неверен.
• Самая измеримая польза для обычного заёмщика — самоликвидация. На позиции с долгом $80 000 штраф ликвидатору составляет $2 000, а закрытие позиции своими руками через флеш-займ — $80,10. Разница в 25 раз, через бесплатный источник — почти в 50.
• «Заработок без денег» упирается в арифметику. Чтобы арбитраж на $100 000 вышел хотя бы в ноль, разрыв цен между площадками должен быть от 0,100% до 0,400% в зависимости от маршрута. И это нижняя граница, без учёта конкуренции ботов.
• Кнопки «взять флеш-займ» нет и не будет. Заёмщиком обязан быть контракт с функцией обратного вызова, а у обычного кошелька таких функций не бывает. А вот газ барьером быть перестал: транзакция на 600 000 газа стоила 6 центов.
• Отраслевой стандарт снял с флеш-займа ярлык уязвимости. OWASP переименовал категорию в «атаки, которым флеш-займ содействует», и прямо пишет, что сам примитив не уязвим.

Заём без залога возможен потому, что транзакция откатывается целиком

Обычный кредит держится на том, что кредитор оценивает риск невозврата: смотрит на залог, историю, платёжеспособность. Флеш-займ устроен иначе — риска невозврата у него просто нет. Заём и возврат живут внутри одной транзакции, а транзакция в блокчейне либо исполняется целиком, либо не исполняется вовсе. Это свойство называют атомарностью, и именно оно заменяет собой залог.

Этот разбор — урок блока «Лендинг и плечо» курса «DeFi: от первой транзакции до профи-стратегий».

Документация Aave формулирует условие без обиняков: если к концу транзакции нужной суммы на месте нет — из-за нехватки баланса, отсутствия разрешения на списание или недостаточного обеспечения, — транзакция откатывается. Документация Balancer говорит то же самое другими словами: выдача и возврат обязаны произойти в одной транзакции. Два независимых протокола описывают одно и то же условие, и это не совпадение, а устройство механики.

BYBITВсё ещё смотришь со стороны?Рынок работает без выходных. Счёт на Bybit открывается за 2 минуты.Начать сейчас

Внутри транзакции происходит одна и та же последовательность у всех четырёх крупных источников:

Плохой долг в лендинге: Aave держит $130 млн дыры, Morpho — $181 млн

Фиксированная ставка в DeFi: три площадки, $461 млн и 0,93% рынка

Looping (зацикленный займ): спред 0,058 п.п. и три механизма потерь

Health factor и ликвидация залога на Aave: запас прочности стоит $449 в год

Приватный RPC против сэндвич-атаки: что уже включено в MetaMask и чего это не даёт

1. Контракт заёмщика вызывает функцию флеш-займа у пула и говорит, какой актив и сколько ему нужно.
2. Пул переводит деньги на адрес контракта заёмщика.
3. Пул вызывает у этого контракта функцию обратного вызова — заранее оговорённую по имени.
4. Внутри неё заёмщик делает то, ради чего всё затевалось: обменивает актив на децентрализованной бирже, гасит чужой или свой долг, забирает залог, перекладывает позицию.
5. Управление возвращается пулу, и он списывает с контракта заёмщика сумму займа плюс премию.
6. Если списывать нечего — вся цепочка отменяется, состояние сети остаётся прежним.

Отсюда сразу три следствия. Залог не нужен, потому что невозврат технически невозможен. Кредитного риска у пула нет, потому что деньги либо вернулись, либо не уходили. А неудачная попытка обходится заёмщику только в газ — плату за вычисления сети. По медиане базовой комиссии Ethereum за 28 августа 2026 года транзакция на 600 000 газа стоила $0,062, то есть шесть центов. Ошибиться в расчётах здесь дёшево; дорого — ошибиться в коде.

Кто даёт флеш-займ и почём: Aave 0,05%, Morpho и Balancer — ноль

Ставки ниже сняты не со статей, а с первоисточников: официальной документации, исходного кода и прямых вызовов к контрактам в сети Ethereum. Ончейн-снимок сделан 28 августа 2026 года на блоке 25 851 847.

Цифра 0,09% — это ставка Aave V2 образца 2021 года, и к рынкам V3 она отношения не имеет. Оговорка тут важна: называют её не все. Из разобранных материалов процент вообще приводят только тексты, написанные до 2024 года, а два самых свежих справочника в выдаче не называют комиссию ни в каком виде — то есть читатель либо получает устаревшую цифру, либо не получает никакой. Источник устаревшей легко проследить: разбор ForkLog от 5 августа 2021 года даёт набор ставок Aave 0,09%, Uniswap 0,3%, CollateralSwap 0,29%, C.R.E.A.M. Finance 0,03%, UniLend 0,05%, а украинский текст от 25 сентября 2023 года повторяет тот же набор строка в строку. Забавнее другое: устаревшие 0,09% печатает и действующая база знаний DeFi Saver — инструмента, которым флеш-займы берут прямо сегодня. На займе $100 000 разница между 0,09% и 0,05% — это $90 против $50.

Два уточнения, которых нет ни у одного разбора темы на русском.

У Aave не один флеш-займ, а два. Функция flashLoan() позволяет занять сразу из нескольких резервов и оставить долг открытым, превратив его в обычный заём под залог; для неё же комиссия может обнуляться. Функция flashLoanSimple() работает с одним резервом, экономнее по газу, но долг оставить не позволяет. Оба варианта требуют одну и ту же функцию обратного вызова executeOperation().

У Uniswap это формально не заём. Функция flash() выдаёт оба токена пары и ждёт назад сумму плюс обычную торговую комиссию того пула, из которого брали. Отдельной ставки «за флеш-займ» здесь не существует, а вернуть можно и второй токен пары — поэтому механику правильнее называть свопом с отложенной оплатой. Ходовая формулировка «у Uniswap флеш-займ стоит 0,3%» описывает не свойство механики, а комиссию одного конкретного уровня пула.

Bybit · Rewards Hubдо $30,100Внеси депозит, торгуй 14 дней — и забери награды в Rewards HubЗабрать бонус →

Предел суммы задаётся не правилами, а ликвидностью источника: у Morpho доступен весь баланс контракта, то есть ликвидность и залоги всех рынков сразу, у Aave — резерв конкретного актива.

Комиссию Aave платят не вкладчикам, а казне протокола

Самый частый вопрос вкладчика звучит так: если кто-то занимает из пула, куда я положил деньги, достаётся ли мне часть премии? На 28 августа 2026 года ответ — нет, ни цента.

В контракте Aave V3 параметр FLASHLOAN_PREMIUM_TO_PROTOCOL равен 10000, то есть 100% премии принадлежит протоколу. В коде это видно построчно: вся сумма totalPremium начисляется в reserve.accruedToTreasury — казну DAO. Поставщик ликвидности не получает от флеш-займов ничего, и распространённый тезис «флеш-займы приносят доход поставщикам ликвидности» на сегодняшний день просто неверен.

Важно, что это параметр управления, а не константа. В треде на форуме управления Aave от 20 февраля 2025 года та же величина читается как 4 базисных пункта — тогда почти вся премия доставалась вкладчикам. Значит, и обратное изменение возможно, и любую цифру такого рода имеет смысл перепроверять на контракте, а не в статье.

Ещё две детали из кода, которые в популярных разборах не встречаются вовсе:

• Комиссия округляется вверх. В коде стоит params.amount.percentMulCeil(params.flashLoanPremium) — округление в пользу протокола, а не в пользу заёмщика.
• Для одобренных заёмщиков комиссии нет. Строка vars.flashloanPremium = params.isAuthorizedFlashBorrower ? 0 : params.flashLoanPremium обнуляет премию адресам из списка, утверждённого управлением. Документация подтверждает: комиссия не берётся с одобренных flashBorrowers.

Самоликвидация: $80 вместо $2 000 штрафа ликвидатору

Это главный расчёт урока и самый практичный сценарий для человека, который сам ничего не атакует, а просто держит заём под залог. Все входные параметры сняты с контрактов Aave 28 августа 2026 года, а не придуманы.

Возьмём позицию: 40 WETH в залоге и $80 000 долга в USDC. По цене оракула Aave $2 497,92 за WETH залог стоит $99 916,80. Порог ликвидации для WETH на Aave V3 в сети Ethereum равен 83,00%, поэтому показатель здоровья позиции составляет 1,0366, а цена ликвидации — $2 409,64 за ETH. Пока цена выше, всё в порядке.

Теперь цена падает до $2 380. Дальше есть два пути.

Путь первый: ничего не делать. Приходит ликвидатор, гасит половину долга ($40 000) и забирает залога на $42 000, то есть 17,6471 ETH. Разница — премия ликвидатора, для заёмщика это штраф. Параметр liquidationBonus у WETH равен 10500, то есть 105,00%: ликвидатор получает залога на 5% больше, чем гасит. Знаменатель здесь важен: 5% считаются от ГАСИМОЙ половины долга, а не от всей позиции. Половина от $80 000 — это $40 000, значит штраф составляет $2 000.

Путь второй: закрыть позицию самому в одной транзакции. Схема такая: занять $80 000 флеш-займом, погасить весь долг, забрать освободившийся залог, обменять нужную часть WETH на USDC и вернуть заём с премией. Издержки складываются из трёх частей: премия Aave 0,05% от $80 000 — это $40,00; комиссия пула ETH/USDC с уровнем 0,05% — $40,04; газ — $0,06. Итого $80,10.

Экономия — $1 919,90, то есть операция дешевле штрафа в 25,0 раза. Через бесплатный источник разрыв вырастает до 49,9 раза. Это и есть ответ на вопрос, зачем флеш-займ нужен человеку, который не пишет ботов.

Оговорки, без которых расчёт был бы нечестным. Мы взяли стандартный режим Aave, где ликвидатор гасит не больше половины долга; при показателе здоровья ниже 0,95 он может погасить всё сразу. Своп посчитан по пулу с уровнем комиссии 0,05% — в более дорогом пуле цифра вырастет. Проскальзывание, то есть сдвиг цены от размера собственной сделки, в расчёт не входит вовсе: на $80 000 в глубоком пуле ETH/USDC оно невелико, но нулём его считать нельзя.

Замена залога и рефинансирование без продажи позиции

Второй и третий легальные сценарии дают выгоду не в процентах, а в том, чего не приходится делать. Обычно, чтобы поменять залог или переехать на другую площадку, позицию надо закрыть: продать часть активов, погасить долг, открыть всё заново. Флеш-займ убирает промежуточное состояние — заёмщик не остаётся ни без залога, ни без долга, ни с обнулённой позицией.

Замена залога. Внутри одной транзакции: флеш-займ гасит весь долг, залог освобождается, часть залога меняется на другой актив, долг открывается заново уже под новый залог, заём возвращается с премией. Продажи позиции при этом не происходит — на выходе тот же долг, но обеспеченный, например, не волатильным токеном, а стейблкоином.

Рефинансирование. Та же цепочка, но новый долг открывается на другой площадке — там, где ставка ниже. Флеш-займ здесь работает как мост между двумя протоколами: он закрывает долг у одного и открывается у другого, а между этими двумя действиями заёмщик не остаётся без обеспечения ни на один блок.

Оба сценария протоколы считают штатными и называют их сами. Aave перечисляет среди применений арбитраж и ликвидации, Morpho в документации приводит пять сценариев, включая самоликвидацию и замену залога. Это не серая зона и не эксплуатация недосмотра — это функция, ради которой она и написана.

Арбитраж: какой разрыв цен нужен, чтобы флеш-займ вообще окупился

Самое популярное обещание вокруг темы звучит как «занял, купил дешевле, продал дороже, вернул — прибыль твоя, капитал не нужен». Первая часть верна: капитал действительно не нужен. Вторая часть умалчивает арифметику.

Посчитаем порог безубыточности на займе $100 000. В маршруте всегда три платежа: премия за заём, комиссия первого пула и комиссия второго пула. Плюс газ, который на фоне остального почти не виден.

Знаменатель во всех трёх строках один — размер займа $100 000. И это нижняя граница, а не ожидаемая прибыль. В расчёт не входят две вещи, которые в реальной конкуренции и съедают маржу.

Первая — проскальзывание: сделка на $100 000 сама двигает цену в пуле, и чем меньше пул, тем сильнее. Вторая — приоритетная комиссия, то есть надбавка за то, чтобы транзакция попала в блок раньше чужой. За заметный разрыв цен конкурируют боты, которые видят ту же возможность в тот же момент и готовы отдать за место в блоке значительную часть будущей прибыли. Сам разрыв при этом держится секунды.

Отсюда практический вывод: «заработок без денег» — это не выдумка, а сильно недосказанная правда. Капитал не нужен, нужен работающий контракт, инфраструктура быстрой отправки транзакций и готовность соревноваться с профессиональными участниками. Для розничного пользователя ожидаемая доходность такого занятия близка к нулю, а издержки на разработку — вполне реальны.

Кнопки «взять флеш-займ» нет: нужен контракт с обратным вызовом

Причина недоступности флеш-займа рознице ровно одна, и она техническая. Заёмщиком обязан быть смарт-контракт — программа в блокчейне, у которой пул может вызвать функцию. Именно на этом вызове держится вся механика: пул отдаёт деньги и тут же передаёт управление заёмщику, а потом забирает своё обратно.

У каждого источника имя этой функции своё:

• Aave требует, чтобы контракт реализовал интерфейс IFlashLoanReceiver или IFlashLoanSimpleReceiver с функцией executeOperation().
• Morpho вызывает onMorphoFlashLoan(amount, data) и проверяет, что вызывающий — сам контракт Morpho.
• Balancer вызывает receiveFlashLoan(), и документация прямо требует внутри неё проверку require(msg.sender == address(balancerVault)).
• Uniswap вызывает uniswapV3FlashCallback().

У обычного кошелька, который в терминологии Ethereum называется внешним аккаунтом (EOA), функций нет вообще — это адрес с балансом и ключом, а не программа. Вызвать у него executeOperation() невозможно. Поэтому «кнопки флеш-займа» в кошельке не существует не потому, что её пока не сделали, а потому, что вызывать в кошельке нечего.

И вот здесь важный поворот, которого нет в старых материалах. Все они называют главным барьером газ: мол, флеш-займ съедает столько комиссии, что окупается только на больших суммах. На 28 августа 2026 года это неверно. Базовая комиссия сети Ethereum по выборке из десяти блоков держалась между 0,0372 и 0,0450 gwei при медиане 0,0411 gwei. При цене ETH $2 497,92 это даёт $0,062 за транзакцию на 600 000 газа и $0,026 за транзакцию на 250 000. Барьер никуда не делся, но он сместился: препятствие теперь не в комиссии сети, а в необходимости написать и проверить код.

Конструкторы вроде DeFi Saver: во сколько обходится удобство

Кода можно избежать — не написав свой контракт, а воспользовавшись чужим. Так работают конструкторы сценариев: пользователь собирает цепочку действий в интерфейсе, а сервис исполняет её через собственный контракт, который умеет и брать флеш-займ, и делать свопы, и трогать позиции в кредитных протоколах.

Живой пример на 28 августа 2026 года — DeFi Saver: сборщик сценариев, автоматизация повышения и понижения плеча, 15 подключённых протоколов в 5 сетях. Источников флеш-займа в интерфейсе пять — Aave, Morpho, Maker, Spark и CurveUSD, — и по умолчанию сервис берёт заём у бесплатного.

Заём бесплатный, но операция — нет. Тарифы сервиса устроены так: своп между стейблкоинами стоит 0,01%, между коррелированными активами — 0,10%, между некоррелированными (например, ETH в USDC) — 0,25%, а каждое срабатывание автоматизации добавляет 0,05% от размера операции. Посчитаем ту же самоликвидацию долга $80 000, что и выше.

Арифметика простая: 0,25% от $80 000 — это $200 сервису, плюс те же $40,04 комиссии пула и $0,06 газа. Удобство обходится втрое дороже собственного кода — и всё равно в 8,3 раза дешевле бездействия. Это и есть честный ответ на вопрос, что конструкторы реально дают: они не отменяют издержки, они меняют разработку на процент от суммы.

Про инструменты из старых списков — отдельно и аккуратно. Корневые домены Furucombo и Instadapp на 28 августа 2026 года отвечают, а сами приложения по адресам app.furucombo.app и app.instadapp.io не отвечают вовсе. Правильная формулировка здесь — «приложение недоступно», а не «сервис закрыт». C.R.E.A.M. Finance, которая фигурирует в списках источников флеш-займа образца 2021 года, из оборота ушла.

Риски флеш-займа: чем платит заёмщик и чем — вкладчик пула

Механика честная и проверяемая, но бесплатных мест в ней нет. Собрали то, что реально может стоить денег.

• Ошибка в собственном контракте стоит всей транзакции. Morpho прямо предупреждает: без разрешения на списание возврата не будет и транзакция откатится, а активы нельзя оставлять внутри контракта флеш-займа. Своя программа — это и свой риск, который никто за вас не проверит.
• Комиссия — параметр управления, а не константа. Документация Aave отдельно оговаривает, что ставка меняется голосованием. Деление премии уже менялось: 4 базисных пункта в феврале 2025 года против 100% в казну на 28 августа 2026 года.
• Порог арбитража — нижняя граница. Приоритетная комиссия и проскальзывание в расчёт 0,100–0,400% не входят, а разрывы цен держатся секунды.
• Безкодовый путь дороже втрое. $240,10 против $80,10 на одной и той же операции — плата за то, чтобы не писать контракт.
• Устаревшие цифры в источниках — самостоятельный риск. Ставка 0,09% стоит и в статьях 2021 года, и в действующей базе знаний живого инструмента. Расчёт по ней завышает издержки почти вдвое, а решение «невыгодно» принимается по неверной цифре.
• Вкладчику протокола флеш-займы могут стоить денег, даже если он ими не пользуется. Во всех разобранных ниже инцидентах потери понесли обычные вкладчики: Bunni, zkLend, Summer.fi, Allbridge Core.

Флеш-займ не уязвимость: OWASP переименовал категорию в 2026 году

Тезис «флеш-займ — это дыра в DeFi» держался на том, что в отраслевых списках рисков он стоял отдельной строкой. Сейчас это уже не так: стандарт OWASP Smart Contract Top 10 изменил и название категории, и её место.

Было — «SC07:2025 Flash Loan Attacks», то есть «флеш-займовые атаки», седьмое место. Стало — «SC04:2026 Flash Loan–Facilitated Attacks», то есть «атаки, которым флеш-займ СОДЕЙСТВУЕТ», четвёртое место. Переименование и перенос подтверждаются на двух независимых площадках: страницами редакций 2025 и 2026 годов на сайте стандарта и файлом README в репозитории проекта на GitHub.

Формулировка самого стандарта не оставляет места для трактовок. Раздел открывается так:

Flash loans are not inherently vulnerable — they are a legitimate DeFi primitive — but they grant attackers arbitrarily large, transient capital within a single transaction.

По-русски: флеш-займы сами по себе не уязвимы, это законный примитив DeFi; но они дают атакующему сколь угодно большой временный капитал внутри одной транзакции. Дальше стандарт перечисляет типы затронутых контрактов и разбирает, как действует атакующий, а заканчивает раздел выводом:

When underlying weaknesses in business logic (SC02), oracles (SC03), arithmetic (SC07), or access control (SC01) exist, flash loans act as a force multiplier, turning small bugs into catastrophic exploits.

То есть: когда в бизнес-логике, оракулах, арифметике или контроле доступа есть слабое место, заём работает как усилитель — превращает мелкую ошибку в катастрофу. Коды в скобках — соседние пункты того же стандарта, и это прямое указание, где искать настоящую причину.

Стандарт при этом развёл флеш-займ и манипуляцию ценой оракула по разным пунктам: манипуляция получила собственный номер SC03:2026. Это ровно та граница, которую в популярных текстах постоянно стирают. Механику того, как подделывают цену актива и почему усреднение цены во времени спасает не всегда, мы разбирали отдельно — там предмет, здесь инструмент.

Bunni, zkLend, Summer.fi, Allbridge: что ломалось на самом деле

Четыре задокументированных инцидента, где в каждом называется не «флеш-займ», а конкретная дыра, которую он усилил.

Размер займа в атаке на Bunni мы приводим по стандарту OWASP; разбор аудиторов Halborn суммы займа не называет вовсе, зато называет корень — функция вывода должна была округлять простаивающий баланс вниз, а по недосмотру делала наоборот. Атака состояла из 44 сцепленных крошечных выводов, и каждый оставлял в пуле чуть меньше, чем должен был. Halborn формулирует вывод прямо: найди аудит эту ошибку округления, эксплойта бы не было.

Наши собственные разборы двух свежих случаев дают редкую возможность посчитать соотношение «занято к добыче». Атакующий вывел $6 млн из Summer.fi, заняв для этого $65,4 млн, — заём оказался в 10,9 раза больше добычи. У второго случая пропорция обратная: мост Allbridge Core потерял $1,65 млн при займе $1,12 млн у solana-протокола Kamino, то есть заём составил 0,68 от выведенной суммы.

Из этих двух чисел следует главное. Бытовое представление «занял миллиард — украл миллиард» не работает: заём не касса, а рычаг. Он нужен, чтобы дотянуться до масштаба, при котором мелкая ошибка даёт заметные деньги. В Bunni разрыв составлял 1,3 процентного пункта за итерацию — на занятых 3 млн USDT это порядка $39 000 за проход, а на собственных $10 000 те же 1,3 пункта дали бы $130. Это модель порядка величин, а не реконструкция атаки: реальная прибыль зависела от структуры пула. Но она объясняет, зачем атакующему заём: без него та же ошибка не окупила бы даже газ.

Доля флеш-займовых атак: 54% в 2020 году и меньше 1% в 2025-м

Ощущение «вокруг сплошные флеш-займовые атаки» — след 2020–2021 годов, когда так и было. Дальше отрасль научилась закрывать этот класс дыр, и цифры это показывают. Ниже — данные с явной атрибуцией, потому что разные наборы считают разные величины.

Главный вектор 2026 года — не транзакционные трюки, а компрометация ключей и учётных данных. Это скучный, человеческий способ потерять деньги, и на него приходится почти три четверти украденного.

Здесь же — предупреждение про ярлыки. Самый громкий «флеш-займовый» инцидент 2025 года, атака на Balancer 3 ноября 2025 года на $128,64 млн в шести сетях, флеш-займовым, возможно, не был вовсе. Технический разбор Check Point Research флеш-займ не упоминает ни разу и описывает работу через внутренние балансы самого хранилища протокола; корень там — округление вниз при масштабировании чисел, дающее до 10% потери точности за операцию, и цикл, повторённый 65 раз внутри одной транзакции. При этом другая публикация вынесла флеш-займы прямо в заголовок и дала другую сумму — около $116 млн. Вывод для читателя простой: слова «флеш-займовая атака» в заголовке не означают, что заём вообще участвовал.

Как проверить, устоит ли протокол, куда вы кладёте деньги

Раздел стандарта OWASP с мерами защиты написан для разработчиков. Но его требования легко переформулировать в вопросы, которые вкладчик может задать протоколу до депозита — и на большинство из них ответ есть в публичной документации или отчёте аудитора.

1. Откуда протокол берёт цену? Спот-цена одного пула — красный флаг: именно её двигают занятыми деньгами. Усреднённая по времени цена или децентрализованный оракул устойчивее, хотя и не абсолютны.
2. Есть ли ограничения на блок или эпоху? Стандарт требует ограничивать частоту чувствительных операций — ребалансировок, изменения долей, пересчёта балансов — и делать комиссии растущими с размером и частотой.
3. Ограничен ли размер одной операции? Потолок проскальзывания, максимальный размер позиции, лимит заимствования, ограничение изменения состояния за одну транзакцию. Если ограничителей нет, размер атаки задаёт не протокол, а ликвидность чужого пула.
4. Гонялись ли в аудите сценарии с флеш-займом? Стандарт требует моделировать их прямо в тестах и фаззить последовательности из нескольких вызовов. Случай Bunni показывает цену пропуска: ошибка округления пережила аудит и стоила $8,4 млн.
5. Проектировалась ли экономика из допущения «flash loans exist»? Это дословное требование стандарта: считать, что у атакующего есть неограниченный временный капитал. Протокол, чья модель ломается от чужих больших денег, ломается по определению — вопрос только в том, когда кто-нибудь их займёт.

FAQ

Можно ли взять флеш-займ, если я не программист? Напрямую — нет: вызов идёт только из контракта с функцией обратного вызова, а у обычного кошелька таких функций не бывает. Косвенно — да, через конструкторы сценариев вроде DeFi Saver. Но платите вы там не за заём, а за упаковку: сам заём берётся у бесплатного источника, а своп внутри сценария стоит 0,25% от суммы.

Сколько на самом деле стоит флеш-займ? На 28 августа 2026 года: Aave V3 — 0,05% от суммы, что подтверждено вызовом на живом контракте; Morpho Blue и Balancer — ноль; Uniswap берёт не премию, а обычную торговую комиссию своего пула. Цифра 0,09%, которая ходит по русскоязычным материалам, — это ставка Aave V2 образца 2021 года, и на рынках V3 она неверна.

Правда ли, что флеш-займом можно заработать без стартового капитала? Капитал действительно не нужен, но нужен рабочий контракт и разрыв цен выше порога безубыточности — от 0,100% на займе $100 000 при бесплатном источнике. Порог не учитывает проскальзывание и надбавку за место в блоке, а сами разрывы держатся секунды, и за них конкурируют боты. Ожидаемая доходность розничного арбитража близка к нулю.

Флеш-займ — это уязвимость DeFi? Нет. Стандарт OWASP в редакции 2026 года переименовал категорию в «атаки, которым флеш-займ содействует», и прямо пишет, что сам примитив не уязвим — он лишь усиливает чужую ошибку. Ломается всегда что-то другое: округление в расчётах, учёт долей, контроль доступа или цена оракула, для которой в стандарте есть отдельный пункт.

Что будет, если я не верну флеш-займ? Ничего страшного не произойдёт: транзакция откатится целиком, будто её и не было. Долга не возникнет, коллекторов не будет, кредитная история ни при чём — потеряете только газ, а это на 28 августа 2026 года порядка шести центов за большую транзакцию. Именно поэтому пул и не требует залога.

Мои деньги лежат в пуле — я зарабатываю на чужих флеш-займах? В Aave V3 на 28 августа 2026 года — нет. Параметр FLASHLOAN_PREMIUM_TO_PROTOCOL равен 10000, то есть вся премия начисляется в казну DAO, а не поставщикам ликвидности. В Morpho Blue и Balancer комиссии за флеш-займ нет вовсе, поэтому там делить нечего. Параметр изменяемый: в феврале 2025 года распределение было другим.